الأسئلة الشائعة — الأمان
الأسئلة الشائعة حول كيفية حماية Survanta لبياناتك وتأمين المنصة.
س: كيف تُحمى بياناتي من المؤسسات الأخرى؟
تجمع Survanta بين مرشحات استعلام المؤسسة في EF Core وفحوص المؤسسة/الملكية الصريحة في الخدمات ووحدات التحكم الحساسة. وتُستعلَم الاستبيانات والاستجابات والملفات والرموز المملوكة للمؤسسة، ويُستعلَم مستخدموها وعملاء التكامل لديها، ضمن حدود المؤسسة. وهذا دفاع متعدد الطبقات؛ فتجنب الادعاء المطلق بأن كل جدول يملك مفتاح مؤسسة غير فارغ أو أن مرشحات الاستعلام وحدها تثبت العزل.
س: من يمكنه الوصول إلى بيانات مؤسستي؟
داخل المؤسسة، تحكم فحوص الصلاحيات في الخادم وملكية المورد الوصول. ويحتاج مستخدمو المنصة صلاحية النظام المناسبة، وللعمليات المقيدة بالمؤسسة مسار مؤسسة مختارًا متحققًا منه أو سير منصة صريحًا. وتمنح الرموز العامة ومفاتيح التكامل محددة النطاق وصولًا خارجيًا محدودًا عمدًا. ولا تستنتج أن كل قراءة لمسؤول منصة تُدقق عالميًا ما لم يسجل السير المحدد ذلك التدقيق.
س: ماذا يحدث إذا تعرّض مفتاح API الخاص بي للاختراق؟
ألغِ عميل التكامل أو دوّر مفتاحه فورًا من منطقة تكاملات المؤسسة. يلغي التدوير المفتاح القديم ويعرض البديل مرة واحدة دون فترة تداخل. حدّث كل المستهلكين سريعًا وافحص سجلات استدعاءات API المرقمة لذلك العميل؛ فتحدث المصادقة الناجحة LastUsedAt وتسجل ApiCall قبل فرض النطاق.
س: هل يتم فحص الملفات المحمَّلة للسلامة؟
تتحقق عمليات رفع سلسلة ملفات المؤسسة من الامتداد المضبوط ونوع المحتوى المعلن وتوقيع المحتوى والحجم، ثم قد تضغط وتشفّر قبل التخزين. وهذا تحقق محتوى لا دليل على فحص مضاد فيروسات/برمجيات خبيثة، وقد تختلف مسارات الملكية في سلوك حصة الخطة. فلا تصف كل آلية رفع بأنها مفحوصة ضد البرمجيات الخبيثة ما لم تُدمج أداة فحص فعلًا.
س: ما هي حماية CSRF وهل تستخدمها Survanta؟
يمكن لـCSRF خداع متصفح موثق بملف تعريف ارتباط لإرسال طلب تغيير غير مرغوب. تستخدم Survanta تحققًا تلقائيًا من مكافحة التزوير على مستوى وحدات التحكم و[ValidateAntiForgeryToken] صريحًا في إجراءات MVC POST كثيرة؛ وتتجاهل وحدات API المعتمدة على bearer/API-key مكافحة التزوير صراحة. يجب تقييم الحماية لكل مسار لا ادعاؤها لكل نموذج أو طلب عالميًا.
س: هل يمكن لأحد الوصول إلى استجابات استبياني دون إذني؟
يتطلب وصول الاستجابات صلاحية مخوَّلة على مستوى المؤسسة، أو رمز ResponseViewer عام صالحًا للقراءة فقط، أو مفتاح تكامل صالحًا بالنطاق وإمكانية الخطة المطلوبين. تجمع رموز Single Survey وPortal العامة الاستجابات لكنها لا تمنح عرضها. وينبغي منح RawResponsesRead فقط عند الحاجة إلى صفوف الاستجابات الفردية.
س: كيف تتعامل Survanta مع كلمات المرور؟
تستخدم حسابات التطبيق تجزئة كلمات مرور ASP.NET Core Identity بدل تخزين كلمات المرور نصًا صريحًا. ويستخدم تأكيد الموقع وإعادة كلمة المرور نماذج OTP لا روابط إعادة تعيين. ويمكن لسطح Researcher للجوال طلب رمز وتأكيده لكنه لا يعرض حاليًا مسار ضبط كلمة المرور الجديدة؛ فلا تقدم ذلك التدفق الجزئي كحل كامل.
س: هل البيانات مشفّرة أثناء النقل؟
تفعل سلسلة الويب إعادة التوجيه إلى HTTPS وHSTS خارج التطوير، وتحترم رؤوس الوكيل الأمامي المضبوطة. ويظل TLS من الطرف إلى الطرف معتمدًا على ضبط النشر والوكيل العكسي والشهادة والعميل. ينبغي لعملاء الإنتاج استخدام عناوين HTTPS فقط؛ ولا تستطيع برمجيات الوسيط المصدرية وحدها إثبات تشفير كل وصلة منشورة.